WebSphere Application Server XXE漏洞

JAVASEC 2021年4月17日15:49:03评论88 views字数 643阅读2分8秒阅读模式
摘要

WebSphere Application Server 是一款由IBM 公司开发的高性能的Java 中间件服务器,可用于构建、运行、集成、保护和管理部署的动态云和Web 应用。它不仅能够确保高性能和灵活性,还提供多种开放标准编程模型选项,旨在最大程度提高开发人员的生产力。
IBM WebSphere Application Server在处理XML数据时,容易受到XML外部实体注入(XXE)攻击,远程攻击者可以利用此漏洞来窃取敏感信息。


漏洞描述

WebSphere Application Server 是一款由IBM 公司开发的高性能的Java 中间件服务器,可用于构建、运行、集成、保护和管理部署的动态云和Web 应用。它不仅能够确保高性能和灵活性,还提供多种开放标准编程模型选项,旨在最大程度提高开发人员的生产力。
IBM WebSphere Application Server在处理XML数据时,容易受到XML外部实体注入(XXE)攻击,远程攻击者可以利用此漏洞来窃取敏感信息。

复现截图

WebSphere Application Server XXE漏洞
奇安信CERT截图

风险等级

高危

影响范围

  • IBM WebSphere Application Server 7.0
  • IBM WebSphere Application Server 8.0
  • IBM WebSphere Application Server 8.5
  • IBM WebSphere Application Server 9.0

修复建议

目前官方已发布补丁修复了该漏洞,对于已停止维护的版本也提供了安全补丁,请受影响的用户尽快更新进行防护。
可手动进行版本更新与补丁安装(注:安装补丁之前请先关闭WebSphere服务,安装完成后再将服务开启)。

相关推荐: Apache Spark存在远程代码执行漏洞(CVE-2020-9480)

简介 2020年6月23日,国家信息安全漏洞共享平台(CNVD)收录了由杭州安恒信息技术股份有限公司报送的Apache Spark远程代码执行漏洞(CNVD-2020-34445,对应CVE-2020-9480)。攻击者利用该漏洞,可在未授权的情况下远程执行代…

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
JAVASEC
  • 本文由 发表于 2021年4月17日15:49:03
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   WebSphere Application Server XXE漏洞https://cn-sec.com/archives/337077.html

发表评论

匿名网友 填写信息